Période de support (CRA)

Définition

La période de support, notion introduite par le Cyber Resilience Act, désigne la durée pendant laquelle le fabricant d'un produit comportant des éléments numériques s'engage à assurer la gestion effective des vulnérabilités découvertes sur ce produit, notamment par la fourniture régulière de correctifs de sécurité. Le règlement impose que cette période soit définie par le fabricant en fonction de la durée d'utilisation attendue du produit, tenant compte de la durée de vie de produits similaires, de la nature du produit et de sa finalité, avec un plancher minimal de cinq ans sauf lorsque la durée de vie attendue du produit est plus courte, auquel cas la période de support peut être alignée sur cette durée réduite. Le fabricant doit communiquer clairement cette période aux utilisateurs dès l'achat, via la documentation accompagnant le produit ou les informations disponibles au moment de la vente, afin de leur permettre de faire un choix éclairé, notamment pour un usage professionnel prolongé. À l'expiration de la période de support, le fabricant n'est plus tenu de fournir de correctifs de sécurité, ce qui expose les utilisateurs continuant à exploiter le produit à un risque croissant à mesure que de nouvelles vulnérabilités sont découvertes. Cette exigence répond à une critique de longue date adressée au marché des objets connectés, où l'abandon prématuré du support de sécurité constitue une source majeure de risque cyber persistant.